NIS-2 im Überblick: Anforderungen, und Compliance
Die NIS-2-Richtlinie (EU 2022/2555) ist am 6. Dezember 2025 in Deutschland in Kraft getreten und verpflichtet rund 29.500 Unternehmen zu umfassenden Maßnahmen im Bereich Informationssicherheit und Risikomanagement. Welche Unternehmen von NIS-2 betroffen sind, welche Pflichten gelten und wie Sie NIS-2 Compliance zuverlässig sicherstellen, erklärt dieser Artikel.
Die wichtigsten Fakten zu NIS-2
- NIS-2 (EU 2022/2555) gilt seit dem 6. Dezember 2025 in Deutschland
Die EU-Richtlinie ersetzt die bisherige NIS-Richtlinie durch deutlich strengere Anforderungen. - Betroffen sind rund 29.500 Unternehmen aus 18 Sektoren
Darunter sind Energie, Gesundheit, Verkehr und digitale Dienste ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz. - NIS-2 verpflichtet zur Umsetzung umfassender IT-Sicherheitsmaßnahmen
Die Richtlinie verpflichtet Unternehmen zu konkreten Risikomanagementmaßnahmen, regelmäßiger Dokumentation sowie zur Meldung von Sicherheitsvorfällen an das BSI. - Die Geschäftsleitung trägt die persönliche Verantwortung für die Umsetzung
Sie muss u. a. gemäß § 38 BSIG nachweislich an NIS-2-Schulungen teilnehmen. - Bei Verstößen drohen empfindliche Bußgelder
Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen.
Die NIS-2-Richtlinie
NIS-2 ist die aktuelle EU-Richtlinie zur Netz- und Informationssicherheit, die die ursprüngliche NIS-Richtlinie von 2015 weiterentwickelt und verschärft. Sie ist im Dezember 2025 in Deutschland in Kraft getreten und setzt neue Maßstäbe für die Cybersicherheit. Dabei betrifft sie deutlich mehr Unternehmen und Branchen als ihr Vorgänger. NIS-2 verpflichtet eine Vielzahl von Organisationen dazu, umfassende Maßnahmen zum Risikomanagement und zur IT-Sicherheit umzusetzen, Sicherheitsvorfälle unverzüglich zu melden und ihre Prozesse zu dokumentieren und regelmäßig zu überprüfen. Geschäftsleitungen werden stärker in die Verantwortung genommen, bei Verstößen drohen hohe Bußgelder.
Ziel von NIS-2 ist ein konstant hohes Sicherheitsniveau für Unternehmen und Organisationen in wichtigen Sektoren in der gesamten EU sowie eine verbesserte Zusammenarbeit zwischen diesen Unternehmen und den verantwortlichen Behörden.
Die NIS-2-Richtlinie (EU 2022/2555) ist der aktuelle EU-weite Rechtsrahmen zur Stärkung der Cybersicherheit. Sie erweitert die Anforderungen und den Geltungsbereich gegenüber der bisherigen NIS-Richtlinie deutlich. Unternehmen und Organisationen aus zahlreichen Sektoren – darunter Energie, Verkehr, Gesundheit, digitale Dienste und viele weitere – müssen unter anderem umfassende Maßnahmen zur IT-Sicherheit umsetzen und Sicherheitsvorfälle melden.
NIS-2 & das BSIG
NIS-2 wird in Deutschland durch das BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) umgesetzt. Das BSIG bildet den rechtlichen Rahmen für IT-Sicherheit in Deutschland und regelt die Aufgaben und Befugnisse des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Die NIS-2-Richtlinie
- bildet eine einheitliche Compliance Anforderung für Organisationen,
- dient der Verbesserung der Cybersicherheit in der europäischen Wirtschaft und
- gilt für deutlich mehr Unternehmen und Organisationen als bisher.
Welche Unternehmen sind von NIS-2 betroffen?
Von NIS-2 sind deutlich mehr Unternehmen betroffen als von der bisherigen NIS-Richtlinie. Mittelständische Unternehmen ab 50 Mitarbeitenden in den betroffenen Sektoren sowie alle Betreiber kritischer Infrastrukturen, die die jeweiligen branchenspezifischen Schwellenwerte erfüllen, fallen in unterschiedlichen Ausprägungen unter die neuen Regelungen. Eine Betroffenheitsanalyse gibt Aufschluss.
Mittelständische Unternehmen
Betroffen sind Unternehmen aus relevanten Sektoren, die mindestens 50 Mitarbeitende beschäftigen oder mehr als 10 Millionen Euro Jahresumsatz erzielen. Zu den relevanten Sektoren zählen:
- Energie
- Transport und Verkehr
- Gesundheit
- digitale Infrastruktur und Dienste
- verarbeitendes Gewerbe usw.
Konzerne & Unternehmensgruppen
Für Konzerne gilt die Betrachtung auf Konzernebene bzw. unter Einbeziehung aller verbundenen Unternehmen. Bei der Prüfung, ob ein Unternehmen unter NIS-2 fällt (z. B. mehr als 50 Mitarbeitende oder über 10 Mio. Euro Jahresumsatz), werden also nicht die einzelnen Tochtergesellschaften betrachtet, sondern die Werte des gesamten Konzerns berücksichtigt. So können auch kleinere Einheiten von NIS-2 betroffen sein. Durch die höhere Komplexität der Unternehmensstruktur ist meist eine detailliertere Betroffenheitsanalyse sinnvoll, um festzustellen, welche Unternehmen tatsächlich unter die Regelungen nach NIS-2 fallen.
KRITIS-Unternehmen
Unternehmen und Organisationen kritischer Infrastrukturen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf das Gemeinwesen, die öffentliche Sicherheit oder die Versorgung der Bevölkerung hätte, sind weiterhin von NIS-2 betroffen. Dazu zählen:
- Energie (z. B. Strom, Gas, Öl)
- Wasser (Trinkwasserversorgung, Abwasserentsorgung)
- Ernährung (Lebensmittelproduktion und -versorgung)
- Informationstechnik und Telekommunikation (IT, Internet, Mobilfunk, Festnetz)
- Transport und Verkehr (Bahn, Luftfahrt, Schifffahrt, Straßenverkehr)
- Gesundheit (Krankenhäuser, Labore, Arzneimittelversorgung)
- Finanz- und Versicherungswesen (Banken, Börsen, Versicherungen)
- Staat und Verwaltung (öffentliche Verwaltung, Regierungsstellen)
- Digitale Infrastruktur (z. B. Cloud-Anbieter, Rechenzentren, Internetknoten, DNS)
- Postdienste (neu durch NIS-2)
- Weltraum/Raumfahrt (neu durch NIS-2)
Was ist das NIS-2 Umsetzungsgesetz?
Das NIS-2-Umsetzungsgesetz setzt die EU-Richtlinie 2022/2555 (NIS-2-Richtlinie) in deutsches Recht um und regelt zugleich wesentliche Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung. Es überträgt die Vorgaben der NIS-2-Richtlinie in nationales Recht und regelt, welche Unternehmen und Organisationen in Deutschland definierte neue Anforderungen erfüllen müssen. Der Anwendungsbereich wurde deutlich erweitert: Während bisher nur ca. 4.500 Organisationen von NIS betroffen waren, sind es mit NIS-2 künftig rund 29.500. Das Gesetz betrifft nun „Wichtige Einrichtungen“ und „Besonders wichtige Einrichtungen“, sodass nun auch viele mittelständische Betriebe und zusätzliche Branchen wie Abfallwirtschaft und Postdienste betroffen sind.
Das Gesetz verpflichtet betroffene Unternehmen, umfassende Maßnahmen zum Risikomanagement und zur IT-Sicherheit umzusetzen, Sicherheitsvorfälle schnell zu melden und ihre Prozesse regelmäßig zu dokumentieren und zu überprüfen. Die Geschäftsleitung wird dabei stärker in die Verantwortung genommen, bei Verstößen drohen hohe Bußgelder. Als Artikelgesetz bringt das NIS-2 Umsetzungsgesetz unter anderem das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG), das Energiewirtschaftsgesetz (EnWG) und weitere Fachgesetze in Einklang mit den EU-Vorgaben der NIS-2-Richtlinie. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft.
Welche Fristen gelten beim NIS-2 Umsetzungsgesetz?
Unternehmen sind verpflichtet, eigenständig zu prüfen, ob sie von dem neuen Cybersicherheitsgesetz betroffen sind. Die Überprüfung sollte umgehend mittels Betroffenheitsanalyse erfolgen:
- Prüfung des Sektors: Gehört Ihr Unternehmen zu einem der relevanten Sektoren? Dazu zählen zum Beispiel Energie, Transport, Banken, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt (besonders wichtige Einrichtungen) sowie Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung und Vertrauensdienste (wichtige Einrichtungen).
- Prüfen des Schwellenwerts: Beschäftigen Sie mehr als 50 Mitarbeitende oder liegt Ihr Jahresumsatz über 10 Millionen Euro? Bei Konzernen ist unter besonderen Voraussetzungen die gesamte Unternehmensgruppe zu berücksichtigen. Für einige Sektoren sind keine Schwellenwerte vorgesehen.
- Dokumentation: Die Ergebnisse der Prüfung müssen schriftlich festgehalten werden.
Nach positiver Prüfung ist die Einhaltung der Registrierungspflicht beim BSI nach §33 BSIG wichtig:
- Unternehmen/Einrichtungen die als „wichtig“ oder „besonders wichtig“ eingestuft sind sowie Anbieter von Domain-Name-Registry-Diensten müssen sich innerhalb von drei Monaten beim Bundesamt registrieren und grundlegende Angaben wie Name, Kontaktdaten, Branche, Tätigkeitsbereich in der EU und zuständige Aufsichtsbehörden melden.
- Betreiber kritischer Anlagen müssen zusätzlich Details zu ihren kritischen Dienstleistungen, eingesetzten Komponenten, Standorten und eine ständig erreichbare Kontaktstelle angeben.
- Änderungen bei den gemeldeten Daten müssen entweder jährlich (bei technischen Details) oder spätestens zwei Wochen nach Kenntnis (bei allen anderen Angaben) gemeldet werden.
- Versäumnis: Bei Nichtregistrierung kann das BSI die Registrierung selbst vornehmen und weitere Auskünfte verlangen.
Was gilt seit Dezember 2025 in Bezug auf NIS-2?
Am 06. Dezember 2025 ist in Deutschland das Gesetz zur Umsetzung der NIS-2-Richtlinie offiziell in Kraft getreten. Ab diesem Zeitpunkt gelten die neuen, deutlich erweiterten Anforderungen an Cybersicherheit für viele Unternehmen und Organisationen. Dazu zählen strengere Meldepflichten, umfassende Vorgaben zum Risikomanagement und zur Informationssicherheit sowie eine Registrierungspflicht für betroffene Einrichtungen beim BSI. Unternehmen müssen nun prüfen, ob sie unter die neuen Regelungen fallen und die entsprechenden Maßnahmen zeitnah umsetzen. Bei Verstößen drohen empfindliche Bußgelder.
Bei Verstößen gegen NIS 2 drohen hohe Bußgelder: Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen beträgt der Rahmen bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes. Zusätzlich kann die Geschäftsleitung persönlich haftbar gemacht werden.
Ralf Lüneburg
Consultant Informationssicherheit
Ich berate Sie gerne
Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.
Was sind die wichtigsten NIS-2-Maßnahmen für Sicherheit und Risikomanagement?
Sicherheit
Zur Erfüllung der NIS-2-Anforderungen müssen Unternehmen eine Vielzahl technischer und organisatorischer Sicherheitsmaßnahmen umsetzen. Dazu zählen der Einsatz moderner IT-Sicherheitslösungen wie Firewalls, Intrusion Detection und Verschlüsselung, aber auch organisatorische Maßnahmen wie Zugangskontrollen und ein effektives Berechtigungsmanagement. Regelmäßige Updates und Patch-Management sind ebenso verpflichtend wie die Erstellung und Pflege von Notfall- und Wiederherstellungsplänen. Unternehmen müssen Prozesse zur schnellen Erkennung und Meldung von Sicherheitsvorfällen einrichten und ihre Mitarbeitenden regelmäßig zu IT-Sicherheitsthemen schulen. Eine lückenlose Dokumentation aller Sicherheitsmaßnahmen und Prozesse ist ebenfalls erforderlich, um ein hohes Schutzniveau zu gewährleisten.
Risikomanagement
Im Rahmen von NIS-2 sind Unternehmen verpflichtet, ein umfassendes Risikomanagement zu etablieren. Dazu gehört, IT- und Cyberrisiken systematisch zu identifizieren und zu bewerten. Auf Basis dieser Analysen müssen geeignete Maßnahmen entwickelt und umgesetzt werden, um die Risiken zu minimieren. Das Risikomanagement sollte sich am Risikoprofil des Unternehmens orientieren und muss regelmäßig aktualisiert werden.
Alle durchgeführten Risikoanalysen und getroffenen Maßnahmen sind sorgfältig zu dokumentieren, um Transparenz und Nachvollziehbarkeit zu gewährleisten.
Welche Meldepflichten gelten für Unternehmen unter NIS-2?
Unter NIS-2 müssen Unternehmen erhebliche Sicherheitsvorfälle, die die Verfügbarkeit, Vertraulichkeit oder Integrität ihrer Dienste beeinträchtigen könnten, an die zuständige Behörde (in Deutschland das BSI) melden. Die Meldepflichten gelten unabhängig davon, ob der Vorfall bereits vollständig aufgeklärt ist oder ob nur ein Verdachtsfall besteht. Unternehmen sollten interne Prozesse und Verantwortlichkeiten klar definieren, um die gesetzlichen Fristen einhalten zu können.
Der Meldeprozess ist mehrstufig aufgebaut. So wird eine schnelle Information der Behörden und eine koordinierte Reaktion auf Cybervorfälle ermöglicht. Unternehmen sind verpflichtet, diesen Prozess einzuhalten und alle relevanten Informationen fristgerecht zu liefern.
Persönliche Haftung und Risiken für die Geschäftsleitung unter NIS-2
NIS-2 und das aktualisierte BSIG verschärfen die Haftung und erhöhen den Druck auf Unternehmen und deren Leitungsorgane. Wer frühzeitig klare Strukturen, Prozesse und Nachweise schafft, minimiert das Risiko von Bußgeldern und persönlicher Haftung.
Das neue BSIG sieht vor, dass Mitglieder der Geschäftsleitung (Vorstände, Geschäftsführer) persönlich für die Einhaltung der NIS-2-Pflichten verantwortlich sind. Sie müssen aktiv dafür sorgen, dass angemessene Sicherheitsmaßnahmen und Prozesse im Unternehmen umgesetzt werden.
Bei grober Pflichtverletzung oder fehlender Überwachung kann eine persönliche Haftung entstehen – auch zivilrechtlich (Schadensersatz) oder strafrechtlich, falls z. B. grobe Fahrlässigkeit vorliegt.
Bußgelder und Sanktionen bei Nichteinhaltung der NIS-2-Anforderungen
Es drohen erhebliche Strafen bei Verstößen
Bei Verstößen gegen die NIS-2-Anforderungen (z. B. fehlende Sicherheitsmaßnahmen, verspätete Meldungen, fehlende Registrierung) drohen empfindliche Bußgelder. Die Höchstgrenzen der Bußgelder liegen bei:
- Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für besonders wichtige Einrichtungen.
- Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen.
- Zusätzlich können weitere aufsichtsrechtliche Maßnahmen wie Anordnungen, Zwangsgelder oder die Veröffentlichung von Verstößen verhängt werden.
Pflichten des Unternehmens, um Bußgelder zu vermeiden
Um Verstöße und damit einhergehenden Bußgeldern oder anderen Sanktionen zu vermeiden, sollten frühzeitig klare und nachhaltige Strukturen implementiert und gelebt werden:
Verantwortlichkeiten klar definieren
Legen Sie Zuständigkeiten für IT-Sicherheit und NIS-2-Compliance in der Geschäftsleitung und im Unternehmen eindeutig fest.
Risikomanagement etablieren
Risiken regelmäßig identifizieren, bewerten und geeignete Maßnahmen ableiten.
Sicherheitsmaßnahmen
Führen Sie technische und organisatorische Schutzmaßnahmen nach dem Stand der Technik ein und aktualisieren Sie diese regelmäßig.
Schulungen
Mitarbeitende und Führungskräfte sollten regelmäßig zu Cybersicherheit und Meldepflichten geschult werden.
Dokumentation
Alle Maßnahmen, Prüfungen und Entscheidungen sorgfältig dokumentieren, um im Ernstfall die Erfüllung der Pflichten nachweisen zu können.
Interne und externe Audits
Lassen Sie IT-Sicherheit und Compliance regelmäßig durch interne oder externe Experten überprüfen.
Notfallmanagement
Entwickeln Sie Pläne für den Umgang mit Sicherheitsvorfällen und Krisen und testen Sie diese regelmäßig.
Hintergründe von NIS-2
Die NIS-Richtlinie 2015
Die NIS-Richtlinie 2015 (EU 2016/1148, Richtlinie zur Netz- und Informationssicherheit) war der erste europaweite Rechtsrahmen zur Verbesserung der Cybersicherheit in kritischen Infrastrukturen. Ziel der NIS-Richtlinie war es, Unternehmen aus Bereichen wie Energie, Verkehr und Gesundheit zu verpflichten, Mindeststandards für IT-Sicherheit einzuhalten und Sicherheitsvorfälle zu melden. Die Vorgaben der NIS-Richtlinie bilden bis heute die Grundlage für den Schutz digitaler Systeme und die Einhaltung von Compliance-Anforderungen in Unternehmen.
- Die erste EU-weite Richtlinie zur Netz- und Informationssicherheit
- In Deutschland wurde die NIS-Richtlinie durch das IT-Sicherheitsgesetz 2015 umgesetzt
- Ziel: Verbesserung der Cybersicherheit in kritischen Infrastrukturen (z. B. Energie, Verkehr, Gesundheit)
Die NIS-2-Richtlinie wurde von der Europäischen Union eingeführt, um das wachsende Risiko durch Cyberangriffe und IT-Sicherheitsvorfälle in einer zunehmend digitalisierten Gesellschaft zu senken. Ziel ist es, ein einheitlich hohes Schutzniveau für Netz- und Informationssysteme in ganz Europa zu schaffen und kritische sowie wichtige Infrastrukturen besser vor Bedrohungen zu schützen. Mit NIS-2 werden die Anforderungen an Cybersicherheit deutlich verschärft, der Anwendungsbereich erweitert und die Zusammenarbeit zwischen Unternehmen und Behörden gestärkt. So soll die Resilienz der europäischen Wirtschaft und Gesellschaft gegenüber digitalen Gefahren nachhaltig verbessert werden.
Häufige Fragen zu NIS-2
Antworten auf weitere Fragen zu NIS-2
„*“ zeigt erforderliche Felder an
Über Ralf Lüneburg
- Diplom-Ingenieur
- langjährige Erfahrung als IT‑Sicherheits-Manager, Auditor und Berater
- zertifizierter Auditor für ISO 27001/ IT‑Grundschutz, ISO 27001, ISO 22301
Wissenswertes zur Informationssicherheit
Wie Sie sensible Daten und Systeme zuverlässig schützen, fundiert erklärt und praxisnah aufbereitet.
